Privacy Policy

Last updated: 17 October 2026 · Version 2.15

⚠ Placeholder – to be completed

This policy still contains a placeholder for the legal entity responsible for your data ("the controller"). Until it is filled in with a real name, registration number and address, the policy is not yet fully compliant with Article 13 GDPR.

Some details about our service providers and automatic deletion are still being confirmed and are marked as such.

1. Who we are (the controller)

SplitTrove is a mobile application that helps friend groups and expense groups track shared savings and expenses together ("SplitTrove", "the app", "we", "us", "our").

The controller responsible for processing your personal data is:

  • [CONTROLLER LEGAL NAME]
  • Chamber of Commerce (KvK) no.: [KVK NUMBER]
  • Address: [REGISTERED ADDRESS], the Netherlands
  • Privacy contact: privacy@splittrove.com

We have not appointed a statutory Data Protection Officer (DPO), as we are not legally required to. You can reach our privacy contact at the address above for any data-protection question.

2. Scope of this policy

This policy applies to the SplitTrove mobile app, this website, and any related services we provide. It explains what personal data we process, why, on what legal basis, with whom we share it, how long we keep it, and the rights you have under the EU General Data Protection Regulation (GDPR) and the Dutch GDPR Implementation Act (UAVG).

It also applies to people who do not use SplitTrove themselves but appear in it because a crew admin entered their name — and possibly their email address — to invite them or to give them a place in the crew's bookkeeping. Where this policy says "you", it means them too.

Where the app links to third-party services (for example the Apple App Store or Google Play), those services have their own privacy policies that apply to their processing.

3. Data we collect

CategoryExamples
Account dataName, email address, your profile photo if you add one, password (passwords are hashed and managed by Firebase Authentication — we never see them in plain text), and a record of which version of our Terms you accepted, how (for example: by creating your account) and when, together with which version of this policy was shown to you at the same time. If we later update the Terms, we also record which updated version we notified you about and when.
App contentThe crews, events, entries, deposits, reservations, members and amounts you and your group create. These are figures you type in yourself.
PhotosImages you upload to events or entries, a crew's cover photo, and which photos you gave a thumb. The app shows only the resulting order, never who voted; your thumb is stored with your user ID on that photo's record, which other members who can see the photo can technically read.
Activity logA record, per crew, of who did what: adding, changing, approving or rejecting an entry or deposit, inviting someone, changing a role. Each line holds the name of the person who acted, what they acted on and when.
Details of people you inviteThe name and, if given, the email address that a crew admin enters to invite someone. We store these even when that person has no account with us, so their seat and their share exist in the crew's bookkeeping and so an invitation can be matched to their account if they create one. See §11 for how long an open invitation is kept and §13 for how to have it removed.
Payment request linkA link to a payment request for a crew's shared account, entered by the crew's owner and visible to that crew's members. A link only — never an account number (see §7).
Settings & preferencesTheme, language, notification and privacy choices.
Support & correspondenceMessages you send us by email and their content.
ReportsIf you report an entry or a photo: who reported it, the reason and your explanation, whether you want to stay anonymous towards the person who added or uploaded it, and a snapshot of what you reported (for an entry, among other things its description, amount and who added it; for a photo, references to the file and details such as who uploaded it and its status — not a separate copy of the image). Being a member of the crew does not give anyone access to these reports.
Email delivery recordsWhen our email provider accepts an invitation email and returns a reference, we record that reference, the time, and which invitation it belongs to. The recipient's address is not copied into this record, but it can be linked through the invitation. Not every sending attempt produces such a record.
Technical & usage dataDevice type, operating system, app version, IP address, timestamps, and basic connection data needed to run the service reliably and securely. These are processed by our hosting providers (§9); we do not run a separate analytics or crash-reporting service of our own.

We collect most of this data directly from you and automatically from your use of the app. One category is different: the details of people who are invited to a crew come from the crew admin who enters them, not from the person themselves. If an admin provides a usable email address, we try to send an invitation naming the inviter and the crew and linking to this policy. If only a name is entered, we normally have no direct contact details. We rely on Article 14(5)(b) GDPR only where providing individual information is impossible or would involve disproportionate effort, assessed for the processing concerned [to be confirmed]; in those cases we make this policy publicly available. If you have been entered into a crew this way and you would rather not be, email privacy@splittrove.com — see §13. We do not buy personal data from third parties.

Photos deserve a word of their own. A photo can say far more about someone than the amount it was attached to — health, beliefs, relationships, where a person was and with whom. SplitTrove is not built for that kind of data. Do not upload medical records, identity documents, or anything else you would not want the whole crew to hold. We do not strip metadata such as EXIF from what you upload, so a photo may still carry the time and place it was taken. You are responsible for having the right to share a photo of someone else; if a photo of you has been uploaded without your say, use the reporting route in the Terms or email privacy@splittrove.com.

4. Legal bases for processing

We only process personal data where the GDPR allows it. The legal bases we rely on (Art. 6(1) GDPR) are:

  • Performance of a contract (Art. 6(1)(b)): to create and run your account and provide the core features — and, once we offer paid plans, to deliver the plan you purchase. For account holders, this includes the service emails in §5 insofar as they are necessary to provide the service. Someone who does not use SplitTrove does not become a party to that contract because an admin entered their details.
  • Consent (Art. 6(1)(a)): for optional push/email notifications and any optional features that require it. You can withdraw consent at any time without affecting prior processing.
  • Legitimate interests (Art. 6(1)(f)): to keep the service secure, prevent abuse and fraud, fix bugs, and improve the app; to keep a crew's shared bookkeeping complete and verifiable, including after someone leaves or deletes their account, because the other members' balances are built from those figures; to keep the activity log so a crew can see what happened to its own administration; to keep a seat in a crew's bookkeeping for someone an admin entered, and to send that person the invitation the admin asked for, while they are not (yet) a user — our interest and the crew's in a complete, shared bookkeeping, which we balance against that person's interests [to be confirmed]; and to assess reports about content. We balance these interests against your rights and you can object (see §13).
  • Legal obligation (Art. 6(1)(c)): to keep records we are legally required to keep — for example our own financial and tax administration, once there are paid transactions to administer.

5. Why we use your data

  • To create your account and let you sign in.
  • To run the core features: tracking balances, expenses, deposits, reservations and photos within your crews.
  • To show your name and balances to other members of the same crew (this is the purpose of a shared crew).
  • To keep an activity log per crew, so members and admins can see what happened to the crew's administration.
  • To confirm your email address, and to match an invitation to your account when someone invited you by email.
  • To send the emails the service needs, where applicable: an invitation to the address an admin entered; a notice to the crew's owner and the person who invited you when you accept or decline an invitation; the ownership codes when you leave as a crew's last account holder; and a warning to a crew's owner before their payment request link expires. Delivery of these emails is not guaranteed.
  • To assess and handle reports about content (Terms §22).
  • To provide and administer paid plans, and keep the records the law requires, once we offer them.
  • To remember the notification choices you make, and to respond to your support requests.
  • To keep the service secure, prevent abuse, and diagnose and fix problems.
  • To comply with our legal obligations.

6. Cookies & local storage

The SplitTrove app stores a little data on your device: your login session, your settings (such as your language), small markers (identifiers, not copies of names or amounts) of what you already saw or dismissed, and when you last asked for a verification or password-reset email (for a reset, together with the address you entered), so the app does not send the same email twice in a row. While the app is open it keeps the crew data you are viewing in memory. This is strictly necessary for the service to function.

This website uses only functional/strictly-necessary storage (for example to remember your language choice). We do not use advertising or tracking cookies, and we do not run third-party analytics that profile you across sites. Our separate website splittrove.com is hosted by another provider (§9); whether that provider's visitor statistics are switched off there is still being verified [to be confirmed].

7. No bank or payment data from your group

SplitTrove does not process payments between members and is not connected to your bank. We do not collect or store bank account numbers, card details, or transaction data from any payment provider for the expenses you track. The amounts in the app are figures you type in yourself for bookkeeping.

There is one exception, and only at a crew's own initiative: the crew's owner can save a link to a payment request for the crew's shared account, so members can pay into it. We store that link and show it to the members of that crew; we do not create or check it, and we cannot see whether anyone paid. Following it takes you to the bank or payment provider concerned, whose own privacy policy applies to what happens there. Be aware that such a link may itself reveal information — the account holder's name, for example — to everyone in the crew. The owner can remove the link at any time by clearing the field.

SplitTrove does not currently offer any paid plan, so there is no payment of ours to process and no subscription data to hold. When we do, billing will run through the Apple App Store or Google Play: those stores process your payment details under their own privacy policies, and we will describe here exactly what they pass back to us before the first purchase is possible.

8. Who can see your data

Members of a crew can see the names, balances, entries, deposits and approved photos within that crew — this is the core purpose of a shared crew. You can adjust some visibility through your privacy settings.

Not everyone in a crew sees the same thing:

  • Guests get a narrower view: they see only the events they take part in, with the entries and photos in those, and the reservations they are part of. They do see every member's name and balance, the crew's money movements and the pool total, because those figures are calculated from the whole crew. Whether a guest may add anything is a separate permission that the crew's admins set.
  • The activity log (§3): every member except a guest can read the full log. Guests see their own activity only within their permitted view, plus crew-wide activity about transactions, transfers, members, starting balances and linked balances.
  • When you accept or decline an invitation, where applicable, the crew's owner and the person who invited you are sent an email with your name and your email address (not you yourself, and only recipients with an account and a confirmed address). Delivery is not guaranteed. Admins also see the email address that was entered to invite someone.
  • After you delete your account, your name and the amounts you recorded stay visible to the members of that crew. Your account itself is gone — see §11 and §18.

There is one situation in which access to a whole crew changes hands. If the last person with an account leaves a crew, that crew is kept intact but nobody can open it any more, and a single ownership code is created and shown to the person leaving. Whoever redeems that code becomes the owner of that crew and can see everything in it — names, amounts, entries and photos — and either takes over one of the open seats in its books or creates a new seat in their own name. Taking over a seat moves the bookkeeping, not the money: it transfers no debt, claim or payment to or from anyone.

We show that code once, to the departing owner. We also try to email it to the address on their account, even if that address is unverified; the app warns about this. After that we cannot recover or reissue it. What happens to it after that is outside our control, which is why the app tells them plainly to treat it as a key to the crew. It only comes into play when no account holder is left, so there is nobody in the crew for us to warn — that is the same fact that makes the code necessary at all. If you believe a code has been redeemed by someone who should not have it, email privacy@splittrove.com; we can see when a crew changed hands and can act on it.

We do not sell your personal data, and we do not share it with third parties for advertising. We share data only with the processors listed in §9 and where required by law.

9. Processors & recipients

We use carefully selected service providers ("processors") who process data on our behalf under a data processing agreement, and other recipients where necessary:

RecipientPurpose
Google Ireland Ltd / Google LLC (Firebase: Cloud Firestore, Authentication, Cloud Storage, Cloud Functions)Database, authentication, file storage and the server-side operations that run the app.
Cloudflare, Inc. (Cloudflare Pages)Hosting these Terms and Privacy pages. Cloudflare sees the IP address and request data of everyone who opens them — including people who are not SplitTrove users.
Apple Inc. (App Store) and Google LLC (Google Play)Distribution of the app, and billing of paid plans once we offer them.
Scaleway SAS (Transactional Email)Sending the app's emails (§5). It processes the recipient's address and the content of those emails.
Microsoft (Exchange Online) — contracting entity [to be confirmed]Our mailboxes (support@, privacy@ and the address invitations are sent from) and the correspondence in them.
Hosting provider of splittrove.com (Lovable) — legal entity [to be confirmed]Hosting the website splittrove.com. It sees the IP address and request data of everyone who opens it.
Authorities / advisorsWhere we are legally required to disclose, or to establish, exercise or defend legal claims.

An up-to-date list of sub-processors is available on request via privacy@splittrove.com.

10. International data transfers

"Where your data lives" has no single answer, because the services the app is built on are hosted differently. Rather than give you an average, here is the actual picture per service:

ServiceWhere it processes
Cloud Firestore — your crews, entries, deposits, balances, activity logEuropean Union (Firebase multi-region eur3).
Cloud Functions — the server-side operations behind joining, inviting and account deletionEuropean Union (europe-west1, Belgium).
Cloud Storage — the photos you uploadEuropean Union (europe-west1, Belgium).
Firebase Authentication — your email address, password, and the IP address and browser/device string used when you sign inUnited States only. Google runs this service exclusively from US data centres; no European option exists.
Cloudflare Pages — these Terms and Privacy pagesCloudflare's global edge network; a request is served from whichever location is nearest.
Scaleway Transactional Email — the app's emailsEuropean Union (Paris, region fr-par).
Exchange Online — our mailboxes[to be confirmed]
splittrove.com — the website[to be confirmed]

Where a service stores data in the EU, that alone does not mean that every supporting part of it, such as its support or maintenance, takes place only in the EU.

So the honest summary is: the crew bookkeeping stays in the EU, but your sign-in data does not, and cannot. Apple and Google also process data in the United States in connection with app distribution.

Where data is transferred outside the EEA, we rely on appropriate safeguards under the GDPR, in particular the European Commission's Standard Contractual Clauses and, where applicable, the EU–US Data Privacy Framework. You can request a copy of the relevant safeguards via privacy@splittrove.com.

11. How long we keep your data

  • Account & app content: for as long as your account and crews exist.
  • When you delete your account — what goes: account deletion removes your account and sign-in, profile photo and user profile from our live systems. Invitation records are removed or stripped of your email address with the limitations described below. Invitations you already accepted stay as a record that you were invited and joined. If we delete data through Firebase that we can no longer recover through that service, Google's processing terms provide for deletion from its systems as soon as reasonably practicable, within a maximum of 180 days, unless the law requires storage. This does not determine how long we retain our own backups.
  • When you delete your account — what can remain: your email address where it was also used as your name in a crew (if you never set a display name), including in older records of that crew; in some invitation records, for example one that was later addressed to someone else, because our clean-up does not find every variant; in correspondence with us (see below); and in our own backups [to be confirmed]. Your user ID can also remain in technical links within a crew, such as who uploaded a photo, who gave it a thumb, who wrote an activity-log line, and in reports, which crew members cannot see. You can ask us about these (§13).
  • When you delete your account — what stays: the name you were known by in a crew, together with the entries, deposits, settlements, balances and activity-log lines of that crew. A crew's bookkeeping is a shared record: the other members' balances are calculated from your amounts, so those lines are their data as much as yours, and removing them would leave everyone else's books wrong. See §13 for how this sits alongside your right to erasure, and §18 for the full picture.
  • The activity log: no one can change or delete a line from inside the app — not the person who wrote it, not a crew admin, not our support. That is enforced by the database rules, and it is deliberate: a shared record of who did what is worthless if it can be quietly rewritten. It is not, however, beyond our reach: we can correct, restrict, anonymise or remove entries at database level, and we will do so where the law obliges us to.
  • Crews: a crew is never deleted by its users — not by a member, not by an admin, not even by its owner, and it keeps its full history when the last account holder leaves. A member can hide a crew from their own overview, which changes nothing for anyone else. We can still act on a crew ourselves where the law requires it or where a crew has clearly been abandoned. A seat created for someone who was invited stays until a crew admin removes it.
  • Open invitations: an unused invitation expires 90 days after it was sent. Whether automatic deletion after expiry is active is still being verified [to be confirmed]. If you were invited and never joined, you can also ask us to remove that address sooner — see §13. A crew ownership code is technically the same kind of record but deliberately does not expire: it is the only way to reopen a crew whose owner left, and a lapsed one would put that crew permanently out of reach.
  • Financial/tax records: once we offer paid plans, we will keep the transaction and invoice data that forms part of our own legally required business administration for the applicable statutory period (7 years under Dutch tax law). That obligation covers our books — not crew amounts, photos, names or activity logs. There are no paid transactions today, so there is nothing held on this basis.
  • Support correspondence: kept no longer than needed, and at most 24 months after the matter is closed. Attachments and identity documents we no longer need are deleted sooner; we keep something longer only for the relevant part where a specific dispute or a legal obligation requires it. How we carry this out in practice is still being settled [to be confirmed].
  • Reports (§3): kept while we assess the report and while our decision can still be contested; longer only for the relevant part where a specific dispute or a legal obligation requires it. The concrete period and procedure are still being settled [to be confirmed].
  • Email delivery records (§3): each record is set to expire 90 days after the sending it belongs to. Whether automatic deletion after expiry is active is still being verified [to be confirmed].
  • Record of a deleted account: a technical record of your user ID, the status of the deletion and timestamps; no name or email address. It stops a device that is still signed in from recreating your profile, and lets an interrupted deletion finish. How long we keep it is still being settled [to be confirmed].
  • Our own backups: our backup practice, including how long copies are kept, is still being settled [to be confirmed].
  • Photos in a crew's album: photos on a crew's events and entries stay in that crew's shared album after the person who uploaded them deletes their account (§18). A request to remove a photo is assessed separately (§13). Photos attached to an entry that is later deleted are currently not removed with it; how they will be handled is still being settled [to be confirmed].
  • Security/diagnostic logs: kept only as long as needed for security and troubleshooting.

12. How we protect your data

We apply appropriate technical and organisational measures, including encryption in transit (HTTPS/TLS), access controls and authentication via Firebase, server-side security rules that restrict who can read or write each record, and the principle of data minimisation. No service can be guaranteed 100% secure, but we work to protect your data and to notify you and the supervisory authority of any data breach where the law requires.

13. Your rights

Under the GDPR you have the right to:

  • Access — obtain a copy of the personal data we hold about you.
  • Rectification — correct inaccurate or incomplete data.
  • Erasure — have your data deleted ("right to be forgotten"). Your account, email address and profile photo are erased when you delete your account (§18), with the limitations described in §11. What you recorded in a crew's bookkeeping is not erased with it: those figures are also the other members' data — their balances are calculated from them — and removing them would make the group's records incorrect. We weigh that interest against yours under Art. 17(1) GDPR, and rely on Art. 17(3)(e) where a record is needed to establish, exercise or defend a legal claim about money between members. That is a balance we strike case by case, not a blanket exemption: where your name can be separated from the figures that the others need, we will look at doing exactly that.
  • Restriction — limit how we process your data in certain cases.
  • Data portability — receive your data in a structured, commonly used, machine-readable format.
  • Object — object to processing based on our legitimate interests.
  • Withdraw consent — at any time, where processing is based on consent.

You can manage much of your information directly in the app: your name and photo under Profile, your preferences under Settings, and deleting your account under Account → Delete my account (§18).

If you do not have an account but appear in a crew — because an admin entered your name, or your email address, to invite you — you have these rights too. Email privacy@splittrove.com and we will remove your email address and, where the crew's bookkeeping allows it, your name.

For other requests, contact privacy@splittrove.com. We will respond within one month, as required by the GDPR; if a request is complex we may take up to two months longer and will tell you so — with the reason — inside that first month. We may ask you to confirm who you are before we act, so that nobody else can use your rights to reach your data. When a request touches records that also belong to other crew members, we give you what is yours and explain what we cannot hand over. Exercising your rights is free, unless a request is manifestly unfounded or excessive.

14. Right to lodge a complaint

If you believe we process your data unlawfully, you have the right to lodge a complaint with a supervisory authority. In the Netherlands this is the Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl). You may also contact the supervisory authority in your own EU country of residence. We would, however, appreciate the chance to address your concern first.

15. Automated decision-making & profiling

We do not use your personal data for automated decision-making that produces legal or similarly significant effects, and we do not profile you for advertising. Balances are calculated arithmetically from the figures you enter; this is not profiling.

16. Children

SplitTrove is not intended for children under 16, and we do not knowingly let anyone under 16 create an account.

We cannot claim more than that. A crew admin can enter a child's name to give them a seat in the bookkeeping, and photos uploaded to an event may show children — in both cases the data reaches us through an adult, not the child. We ask admins not to do the first and to think before the second. If a child's data has ended up in SplitTrove and should not have, email privacy@splittrove.com and we will remove it.

17. Changes to this policy

We may update this policy from time to time. The latest version is always available on this page, with the "last updated" date and version number above. We will notify you of significant changes in the app or by email where appropriate.

18. Deleting your account

You can delete your account yourself, in the app, under Account → Delete my account. No request, no waiting: you do it, and it happens immediately.

Before it goes through, the app shows you what will happen to every crew you are in. For a crew you own, one of two things has to be settled first:

  • if someone else in that crew has an account, you hand the crew over to them;
  • if nobody else there has an account, the crew is kept with all of its history but can no longer be opened — and you are shown a single ownership code that reopens it. Whoever redeems that code becomes the owner of that crew and either takes over one of the open seats in its books or starts a new one in their own name. That can be you, with a new account, later. You are shown the code before anything is deleted, because afterwards there is no account left to show it to. We also try to email it to the address on your account, even if that address is unverified; the app warns you about this. Keep the code safe: we cannot recover or reissue a lost code.

You then confirm by signing in again. From that point it is irreversible.

What we delete: your account and sign-in, your profile photo and your user profile. Invitation records are removed or stripped of your email address; the record that you were invited and joined stays. Some traces can remain; §11 lists them.

What stays: the name you were known by in a crew, and everything that hangs off it — entries, deposits, settlements, balances and activity-log lines. This is the group's bookkeeping and the other members' balances are calculated from it; §11 and §13 explain why it stays and on what basis. Photos you added to a crew's events and entries stay too, for a different reason: they belong to that crew's shared album. A request to remove a photo is assessed separately, and only your profile photo is yours alone to take with you. Your seat becomes an open seat that a crew admin can invite someone else to.

If you cannot reach the app — you lost access to your account, for example — email privacy@splittrove.com and we will handle the deletion for you. If you have no account at all but appear in a crew because someone invited you, see §13.

19. Contact

Questions about this policy or your data? Email privacy@splittrove.com or write to [CONTROLLER LEGAL NAME], [REGISTERED ADDRESS], the Netherlands.

Privacyverklaring

Laatst bijgewerkt: 17 oktober 2026 · Versie 2.15

⚠ Placeholder – nog invullen

Deze verklaring bevat nog een placeholder voor de juridische entiteit die verantwoordelijk is voor je gegevens (de "verwerkingsverantwoordelijke"). Zolang die niet is ingevuld met een echte naam, KvK-nummer en adres, voldoet de verklaring nog niet volledig aan artikel 13 AVG.

Een paar gegevens over onze dienstverleners en automatisch verwijderen worden nog uitgezocht en zijn zo gemarkeerd.

1. Wie we zijn (de verwerkingsverantwoordelijke)

SplitTrove is een mobiele app waarmee vriendengroepen en uitgavengroepen samen gedeelde spaargelden en uitgaven bijhouden ("SplitTrove", "de app", "wij", "ons", "onze").

De verwerkingsverantwoordelijke voor de verwerking van je persoonsgegevens is:

  • [NAAM VERANTWOORDELIJKE]
  • KvK-nummer: [KVK-NUMMER]
  • Adres: [VESTIGINGSADRES], Nederland
  • Privacycontact: privacy@splittrove.com

We hebben geen wettelijk verplichte Functionaris Gegevensbescherming (FG) aangesteld, omdat dit voor ons niet verplicht is. Voor elke privacyvraag kun je terecht bij het bovenstaande contactadres.

2. Reikwijdte van deze verklaring

Deze verklaring geldt voor de SplitTrove-app, deze website en bijbehorende diensten. Ze legt uit welke persoonsgegevens we verwerken, waarom, op welke grondslag, met wie we ze delen, hoe lang we ze bewaren en welke rechten je hebt onder de Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet AVG (UAVG).

Ze geldt ook voor mensen die SplitTrove zelf niet gebruiken, maar er wel in voorkomen doordat een crew-beheerder hun naam — en soms hun e-mailadres — heeft ingevoerd om ze uit te nodigen of ze een plek in de boekhouding van de crew te geven. Waar deze verklaring "jij" zegt, gaat het ook over hen.

Waar de app verwijst naar diensten van derden (bijvoorbeeld de Apple App Store of Google Play), gelden hun eigen privacyverklaringen voor hun verwerking.

3. Welke gegevens we verzamelen

CategorieVoorbeelden
AccountgegevensNaam, e-mailadres, je profielfoto als je die toevoegt, wachtwoord (wachtwoorden worden gehasht en beheerd door Firebase Authentication — wij zien ze nooit in leesbare vorm), en de vastlegging van welke versie van onze voorwaarden je hebt aanvaard, op welke manier (bijvoorbeeld: door je account aan te maken) en wanneer, samen met de versie van deze verklaring die je daarbij is voorgelegd. Werken we de voorwaarden later bij, dan leggen we ook vast over welke bijgewerkte versie we je hebben geïnformeerd en wanneer.
App-contentDe crews, events, entries, stortingen, reserveringen, leden en bedragen die jij en je groep aanmaken. Dit zijn cijfers die je zelf invoert.
Foto'sAfbeeldingen die je toevoegt aan events of entries, de omslagfoto van een crew, en welke foto's jij een duim hebt gegeven. In de app is alleen de resulterende volgorde te zien, nooit wie er gestemd heeft; je duim wordt wel met je gebruikers-ID bij het record van die foto opgeslagen, en andere leden die de foto kunnen zien, kunnen dat technisch lezen.
ActiviteitenlogEen vastlegging per crew van wie wat deed: een entry of storting toevoegen, wijzigen, goedkeuren of afwijzen, iemand uitnodigen, een rol veranderen. Elke regel bevat de naam van degene die handelde, waar het over ging en wanneer.
Gegevens van mensen die je uitnodigtDe naam en, als die is opgegeven, het e-mailadres dat een crew-beheerder invoert om iemand uit te nodigen. We bewaren die ook als die persoon geen account bij ons heeft, zodat zijn stoel en zijn aandeel in de boekhouding van de crew bestaan, en zodat een uitnodiging aan zijn account gekoppeld kan worden als hij er een aanmaakt. Zie §11 voor hoe lang een openstaande uitnodiging blijft staan en §13 voor hoe je hem laat verwijderen.
Betaalverzoek-linkEen link naar een betaalverzoek van de gezamenlijke rekening van een crew, ingevoerd door de eigenaar van de crew en zichtbaar voor de leden van die crew. Alleen een link — nooit een rekeningnummer (zie §7).
Instellingen & voorkeurenThema, taal, meldingen en privacykeuzes.
Support & correspondentieBerichten die je ons per e-mail stuurt en de inhoud daarvan.
MeldingenAls je een entry of foto meldt: wie meldde, de reden en je toelichting, of je anoniem wilt blijven tegenover degene die hem toevoegde of uploadde, en een momentopname van wat je meldde (bij een entry onder meer de omschrijving, het bedrag en wie hem toevoegde; bij een foto verwijzingen naar het bestand en gegevens zoals wie hem uploadde en de status — geen aparte kopie van de afbeelding). Lid zijn van de crew geeft niemand toegang tot deze meldingen.
Bezorggegevens van e-mailAls onze e-mailprovider een uitnodigingsmail accepteert en een referentie teruggeeft, leggen we die referentie vast, het tijdstip en bij welke uitnodiging hij hoort. Het adres van de ontvanger wordt niet in dit record gekopieerd, maar is via de uitnodiging wel te koppelen. Niet elke verzendpoging levert zo'n record op.
Technische & gebruiksgegevensApparaattype, besturingssysteem, app-versie, IP-adres, tijdstempels en basisverbindingsgegevens die nodig zijn om de dienst betrouwbaar en veilig te laten werken. Die verwerken onze hostingproviders (§9); we draaien zelf geen aparte analytics- of crashrapportagedienst.

Het meeste hiervan verzamelen we rechtstreeks van jou en automatisch via je gebruik van de app. Eén categorie wijkt af: de gegevens van mensen die voor een crew worden uitgenodigd, komen van de beheerder die ze invoert en niet van de betrokkene zelf. Vult een beheerder een bruikbaar e-mailadres in, dan proberen we een uitnodiging te sturen waarin staat wie uitnodigt en voor welke crew, met een link naar deze verklaring. Is alleen een naam ingevuld, dan hebben we normaal gesproken geen directe contactgegevens. We beroepen ons alleen op artikel 14 lid 5 sub b AVG waar individueel informeren onmogelijk is of een onevenredige inspanning zou vergen, beoordeeld voor de verwerking in kwestie [nog uit te zoeken]; in die gevallen maken we deze verklaring openbaar. Sta je zo in een crew en wil je dat liever niet, mail dan privacy@splittrove.com — zie §13. We kopen geen persoonsgegevens van derden.

Over foto's apart. Een foto zegt vaak veel meer over iemand dan het bedrag waar hij bij hoort — gezondheid, overtuigingen, relaties, waar iemand was en met wie. SplitTrove is daar niet voor gebouwd. Upload dus geen medische stukken, identiteitsbewijzen of ander materiaal dat je de hele crew niet zou geven. We verwijderen geen metadata zoals EXIF uit wat je uploadt, dus een foto kan nog steeds het tijdstip en de locatie van de opname bevatten. Je bent er zelf verantwoordelijk voor dat je een foto van iemand anders mag delen; staat er een foto van jou zonder dat je dat wilde, gebruik dan de meldroute uit de voorwaarden of mail privacy@splittrove.com.

4. Grondslagen voor de verwerking

We verwerken persoonsgegevens alleen als de AVG dat toestaat. De grondslagen (art. 6 lid 1 AVG) zijn:

  • Uitvoering van een overeenkomst (art. 6 lid 1 sub b): om je account aan te maken en te laten werken en de kernfuncties te leveren — en, zodra we betaalde abonnementen aanbieden, om het abonnement dat je koopt te leveren. Voor accounthouders vallen daaronder ook de servicemails uit §5, voor zover die nodig zijn om de dienst te leveren. Iemand die SplitTrove niet gebruikt, wordt geen partij bij die overeenkomst doordat een beheerder diens gegevens invoerde.
  • Toestemming (art. 6 lid 1 sub a): voor optionele push-/e-mailmeldingen en optionele functies die dit vereisen. Je kunt je toestemming op elk moment intrekken, zonder gevolgen voor eerdere verwerking.
  • Gerechtvaardigd belang (art. 6 lid 1 sub f): om de dienst veilig te houden, misbruik en fraude te voorkomen, fouten te herstellen en de app te verbeteren; om de gedeelde boekhouding van een crew compleet en controleerbaar te houden, ook nadat iemand vertrekt of zijn account verwijdert, omdat de saldi van de andere leden uit die cijfers zijn opgebouwd; om het activiteitenlog te bewaren zodat een crew kan zien wat er met de eigen administratie is gebeurd; om een plek in de boekhouding van een crew te bewaren voor iemand die een beheerder heeft ingevoerd, en die persoon de uitnodiging te sturen waar de beheerder om vroeg, zolang die (nog) geen gebruiker is — ons belang en dat van de crew bij een volledige, gedeelde boekhouding, dat we afwegen tegen de belangen van die persoon [nog uit te zoeken]; en om meldingen over content te beoordelen. We wegen deze belangen af tegen jouw rechten en je kunt bezwaar maken (zie §13).
  • Wettelijke verplichting (art. 6 lid 1 sub c): om gegevens te bewaren die we wettelijk moeten bewaren — bijvoorbeeld onze eigen financiële en fiscale administratie, zodra er betaalde transacties te administreren zijn.

5. Waarvoor we je gegevens gebruiken

  • Om je account aan te maken en je te laten inloggen.
  • Om de kernfuncties te laten werken: saldo's, uitgaven, stortingen, reserveringen en foto's binnen je crews bijhouden.
  • Om je naam en saldo's te tonen aan andere leden van dezelfde crew (dat is het doel van een gedeelde crew).
  • Om per crew een activiteitenlog bij te houden, zodat leden en beheerders kunnen zien wat er met de administratie van de crew is gebeurd.
  • Om je e-mailadres te bevestigen, en om een uitnodiging aan je account te koppelen als iemand je per e-mail heeft uitgenodigd.
  • Om de e-mails te sturen die de dienst nodig heeft, waar van toepassing: een uitnodiging aan het adres dat een beheerder invoerde; een bericht aan de eigenaar van de crew en aan wie je uitnodigde als je een uitnodiging aanneemt of weigert; de eigendomscodes als je als laatste accounthouder een crew verlaat; en een waarschuwing aan de eigenaar van een crew voordat de betaalverzoek-link verloopt. Bezorging van deze mails is niet gegarandeerd.
  • Om meldingen over content te beoordelen en af te handelen (voorwaarden §22).
  • Om betaalde abonnementen te leveren en te administreren, en de wettelijk vereiste administratie te voeren, zodra we die aanbieden.
  • Om de meldingsvoorkeuren die je instelt te onthouden en om je supportvragen te beantwoorden.
  • Om de dienst veilig te houden, misbruik te voorkomen en problemen op te lossen.
  • Om aan onze wettelijke verplichtingen te voldoen.

6. Cookies & lokale opslag

De SplitTrove-app bewaart een beetje gegevens op je apparaat: je inlogsessie, je instellingen (zoals je taal), kleine markeringen (kenmerken, geen kopieën van namen of bedragen) van wat je al hebt gezien of weggeklikt, en wanneer je voor het laatst een verificatie- of wachtwoordherstelmail aanvroeg (bij herstel samen met het adres dat je invulde), zodat de app niet twee keer achter elkaar dezelfde mail stuurt. Zolang de app open is, houdt hij de crewgegevens die je bekijkt in het geheugen. Dit is strikt noodzakelijk voor de werking van de dienst.

Deze website gebruikt alleen functionele/strikt noodzakelijke opslag (bijvoorbeeld om je taalkeuze te onthouden). We gebruiken geen advertentie- of trackingcookies en geen analytics van derden die je over verschillende sites volgen. Onze aparte website splittrove.com wordt door een andere partij gehost (§9); of de bezoekersstatistieken van die partij daar uit staan, wordt nog gecontroleerd [nog uit te zoeken].

7. Geen bank- of betaalgegevens van je groep

SplitTrove verwerkt geen betalingen tussen leden en is niet gekoppeld aan je bank. We verzamelen of bewaren geen rekeningnummers, kaartgegevens of transactiegegevens van een betaaldienst voor de uitgaven die je bijhoudt. De bedragen in de app zijn cijfers die je zelf invoert om bij te houden.

Er is één uitzondering, en alleen op initiatief van de crew zelf: de eigenaar van de crew kan een link naar een betaalverzoek van de gezamenlijke rekening opslaan, zodat leden daarin kunnen storten. Die link bewaren wij en tonen wij aan de leden van die crew; wij maken of controleren hem niet en kunnen niet zien of iemand betaald heeft. Via de link kom je bij de betreffende bank of betaaldienst, waar hun eigen privacyverklaring geldt voor wat daar gebeurt. Houd er rekening mee dat zo'n link zelf informatie kan prijsgeven — bijvoorbeeld de naam van de rekeninghouder — aan iedereen in de crew. De eigenaar kan de link op elk moment verwijderen door het veld leeg te maken.

SplitTrove biedt op dit moment geen betaald abonnement aan, dus er is geen betaling van ons te verwerken en geen abonnementsgegeven om te bewaren. Zodra dat wel zo is, loopt de afrekening via de Apple App Store of Google Play: die stores verwerken je betaalgegevens onder hun eigen privacyverklaring, en we beschrijven hier precies wat zij aan ons teruggeven voordat de eerste aankoop mogelijk is.

8. Wie je gegevens kan zien

Leden van een crew kunnen de namen, saldo's, entries, stortingen en goedgekeurde foto's binnen die crew zien — dat is de kern van een gedeelde crew. Via je privacy-instellingen kun je een deel van de zichtbaarheid aanpassen.

Niet iedereen in een crew ziet hetzelfde:

  • Gasten krijgen een beperkter beeld: ze zien alleen de events waar ze aan meedoen, met de entries en foto's daarin, en de reserveringen waar ze deel van uitmaken. De naam en het saldo van elk lid, de geldbewegingen van de crew en het poolsaldo zien ze wél, omdat die cijfers uit de hele crew worden berekend. Of een gast iets mag toevoegen, is een aparte bevoegdheid die de beheerders van de crew instellen.
  • Het activiteitenlog (§3): elk lid behalve een gast kan het volledige log lezen. Een gast ziet de eigen activiteit alleen binnen het toegestane beeld, plus de crew-brede activiteit over transacties, overboekingen, leden, beginsaldi en gekoppelde saldi.
  • Als je een uitnodiging aanneemt of weigert, krijgen waar van toepassing de eigenaar van de crew en degene die je uitnodigde een mail met je naam en je e-mailadres (jijzelf niet, en alleen ontvangers met een account en een bevestigd adres). Bezorging is niet gegarandeerd. Beheerders zien ook het e-mailadres dat is ingevuld om iemand uit te nodigen.
  • Nadat je je account verwijdert blijven je naam en de bedragen die je hebt vastgelegd zichtbaar voor de leden van die crew. Je account zelf is weg — zie §11 en §18.

Er is één situatie waarin de toegang tot een hele crew overgaat. Verlaat de laatste persoon met een account een crew, dan blijft die crew compleet bestaan maar kan niemand hem nog openen, en wordt er één eigendomscode gemaakt en getoond aan degene die vertrekt. Wie die code inwisselt wordt eigenaar van die crew en ziet daarin alles — namen, bedragen, entries en foto's — en neemt óf een van de vrije stoelen in de boeken over, óf maakt een nieuwe stoel op zijn eigen naam aan. Het overnemen van een stoel verplaatst de boekhouding, niet het geld: er gaat geen schuld, vordering of betaling mee over, naar wie dan ook.

Wij tonen die code één keer, aan de vertrekkende eigenaar. We proberen hem ook te mailen naar het adres van diens account, ook als dat adres niet bevestigd is; de app waarschuwt daarvoor. Daarna kunnen we hem niet herstellen of opnieuw uitgeven. Wat er daarna mee gebeurt ligt buiten onze macht, en daarom zegt de app er onomwonden bij dat hij als sleutel tot de crew behandeld moet worden. Hij komt pas in beeld als er geen accounthouder meer over is, dus er is niemand in de crew om te waarschuwen — precies het feit dat de code überhaupt nodig maakt. Denk je dat een code is ingewisseld door iemand die hem niet hoort te hebben, mail dan privacy@splittrove.com; wij kunnen zien wanneer een crew van eigenaar wisselde en daarop handelen.

We verkopen je persoonsgegevens niet en delen ze niet met derden voor advertenties. We delen gegevens alleen met de verwerkers in §9 en waar de wet dit vereist.

9. Verwerkers & ontvangers

We werken met zorgvuldig gekozen dienstverleners ("verwerkers") die gegevens namens ons verwerken onder een verwerkersovereenkomst, en met andere ontvangers waar nodig:

OntvangerDoel
Google Ireland Ltd / Google LLC (Firebase: Cloud Firestore, Authentication, Cloud Storage, Cloud Functions)Database, authenticatie, bestandsopslag en de serverbewerkingen waarmee de app draait.
Cloudflare, Inc. (Cloudflare Pages)Hosting van deze voorwaarden- en privacypagina's. Cloudflare ziet daarbij het IP-adres en de verzoekgegevens van iedereen die ze opent — ook van mensen die geen SplitTrove-gebruiker zijn.
Apple Inc. (App Store) en Google LLC (Google Play)Distributie van de app, en facturatie van betaalde abonnementen zodra we die aanbieden.
Scaleway SAS (Transactional Email)Versturen van de mails van de app (§5). Verwerkt het adres van de ontvanger en de inhoud van die mails.
Microsoft (Exchange Online) — contractpartij [nog uit te zoeken]Onze mailboxen (support@, privacy@ en het adres waarvandaan uitnodigingen gaan) en de correspondentie daarin.
Hostingpartij van splittrove.com (Lovable) — juridische entiteit [nog uit te zoeken]Hosting van de website splittrove.com. Ziet het IP-adres en de verzoekgegevens van iedereen die hem opent.
Autoriteiten / adviseursWaar we wettelijk moeten verstrekken, of om rechtsvorderingen in te stellen, uit te oefenen of te verdedigen.

Een actuele lijst van subverwerkers is op verzoek beschikbaar via privacy@splittrove.com.

10. Doorgifte buiten de EER

"Waar staan je gegevens" heeft geen enkel antwoord, omdat de diensten waarop de app is gebouwd verschillend gehost worden. In plaats van een gemiddelde te geven, hier het werkelijke beeld per dienst:

DienstWaar de verwerking plaatsvindt
Cloud Firestore — je crews, entries, stortingen, saldi, activiteitenlogEuropese Unie (Firebase-multiregio eur3).
Cloud Functions — de serverbewerkingen achter deelnemen, uitnodigen en account verwijderenEuropese Unie (europe-west1, België).
Cloud Storage — de foto's die je uploadtEuropese Unie (europe-west1, België).
Firebase Authentication — je e-mailadres, wachtwoord, en het IP-adres en de browser-/apparaatgegevens waarmee je inlogtUitsluitend de Verenigde Staten. Google draait deze dienst alleen vanuit Amerikaanse datacenters; een Europese optie bestaat niet.
Cloudflare Pages — deze voorwaarden- en privacypagina'sHet wereldwijde edge-netwerk van Cloudflare; een verzoek wordt bediend vanaf de dichtstbijzijnde locatie.
Scaleway Transactional Email — de mails van de appEuropese Unie (Parijs, regio fr-par).
Exchange Online — onze mailboxen[nog uit te zoeken]
splittrove.com — de website[nog uit te zoeken]

Dat een dienst gegevens in de EU opslaat, betekent op zichzelf niet dat elk ondersteunend onderdeel ervan, zoals support of onderhoud, alleen in de EU plaatsvindt.

Eerlijk samengevat: de boekhouding van de crew blijft in de EU, maar je inloggegevens niet, en dat kan ook niet anders. Apple en Google verwerken daarnaast gegevens in de Verenigde Staten in verband met de distributie van de app.

Bij doorgifte buiten de EER baseren we ons op passende waarborgen onder de AVG, in het bijzonder de Standaardcontractbepalingen (SCC's) van de Europese Commissie en, waar van toepassing, het EU–VS Data Privacy Framework. Een kopie van de relevante waarborgen kun je opvragen via privacy@splittrove.com.

11. Hoe lang we je gegevens bewaren

  • Account & app-content: zolang je account en crews bestaan.
  • Als je je account verwijdert — wat weg gaat: bij accountverwijdering worden je account en inlogmogelijkheid, profielfoto en gebruikersprofiel uit onze actieve systemen verwijderd. Uitnodigingsrecords worden verwijderd of ontdaan van je e-mailadres, met de hieronder beschreven beperkingen. Uitnodigingen die je al hebt aangenomen blijven bestaan als vastlegging dat je bent uitgenodigd en toegetreden. Verwijderen we via Firebase gegevens die we via die dienst niet meer kunnen herstellen, dan verwijdert Google ze volgens zijn verwerkersvoorwaarden zodra dat redelijkerwijs uitvoerbaar is, binnen maximaal 180 dagen, tenzij de wet bewaring vereist. Dit bepaalt niet hoelang wij onze eigen back-ups bewaren.
  • Als je je account verwijdert — wat kan achterblijven: je e-mailadres waar het ook als je naam in een crew werd gebruikt (als je nooit een weergavenaam instelde), ook in oudere vastleggingen van die crew; in sommige uitnodigingsrecords, bijvoorbeeld een uitnodiging die later aan iemand anders is gericht, omdat onze opschoning niet elke variant vindt; in correspondentie met ons (zie hieronder); en in onze eigen back-ups [nog uit te zoeken]. Ook je gebruikers-ID kan achterblijven in technische koppelingen binnen een crew, zoals wie een foto uploadde, wie er een duim aan gaf en wie een regel in het activiteitenlog schreef, en in meldingen, die crewleden niet kunnen zien. Hierover kun je ons vragen stellen (§13).
  • Als je je account verwijdert — wat blijft: de naam waaronder je in een crew stond, samen met de entries, stortingen, verrekeningen, saldi en activiteitenlog-regels van die crew. De boekhouding van een crew is een gedeeld verslag: de saldi van de andere leden worden uit jouw bedragen berekend, dus die regels zijn net zo goed hún gegevens, en ze weghalen zou de administratie van alle anderen onjuist maken. Zie §13 voor hoe zich dat verhoudt tot je recht op verwijdering, en §18 voor het hele beeld.
  • Het activiteitenlog: niemand kan vanuit de app een regel wijzigen of verwijderen — niet degene die hem schreef, geen beheerder, ook onze support niet. Dat wordt door de databaseregels afgedwongen, en dat is bewust: een gedeeld verslag van wie wat deed is waardeloos als het stilletjes herschreven kan worden. Het ligt daarmee niet buiten ons bereik: op databaseniveau kunnen wij regels corrigeren, beperken, anonimiseren of verwijderen, en dat doen we waar de wet ons daartoe verplicht.
  • Crews: een crew wordt nooit verwijderd door gebruikers — niet door een lid, niet door een beheerder, ook niet door de eigenaar, en de volledige historie blijft bestaan als de laatste accounthouder vertrekt. Een lid kan een crew wel voor zichzelf verbergen; voor de anderen verandert er dan niets. Wij kunnen zelf nog wel ingrijpen in een crew waar de wet dat vereist of waar een crew duidelijk verlaten is. Een stoel die voor een uitgenodigde is aangemaakt blijft bestaan tot een beheerder hem intrekt.
  • Openstaande uitnodigingen: een ongebruikte uitnodiging verloopt 90 dagen na verzending. Of de automatische verwijdering na het verlopen actief is, wordt nog gecontroleerd [nog uit te zoeken]. Ben je uitgenodigd en nooit toegetreden, dan kun je ons ook vragen dat adres eerder te verwijderen — zie §13. Een eigendomscode voor een crew is technisch hetzelfde soort record, maar verloopt bewust niet: het is de enige manier om een crew te heropenen waarvan de eigenaar is vertrokken, en een verlopen code zou die crew permanent onbereikbaar maken.
  • Financiële/fiscale administratie: zodra we betaalde abonnementen aanbieden, bewaren we de transactie- en factuurgegevens die deel uitmaken van onze eigen wettelijk verplichte bedrijfsadministratie gedurende de toepasselijke termijn (7 jaar volgens de Nederlandse belastingwet). Die plicht geldt voor ónze boeken — niet voor crewbedragen, foto's, namen of activiteitenlogs. Er zijn vandaag geen betaalde transacties, dus op deze grond bewaren we niets.
  • Supportcorrespondentie: niet langer bewaard dan nodig, en maximaal 24 maanden nadat de zaak is afgehandeld. Bijlagen en identiteitsstukken die we niet meer nodig hebben, verwijderen we eerder; iets langer bewaren doen we alleen voor het relevante deel waar een concreet geschil of een wettelijke plicht dat vereist. Hoe we dit in de praktijk uitvoeren, wordt nog uitgewerkt [nog uit te zoeken].
  • Meldingen (§3): bewaard zolang we de melding beoordelen en zolang ons besluit nog kan worden aangevochten; langer alleen het relevante deel waar een concreet geschil of een wettelijke plicht dat vereist. De concrete termijn en werkwijze worden nog uitgewerkt [nog uit te zoeken].
  • Bezorggegevens van e-mail (§3): elk record staat ingesteld om 90 dagen na de betreffende verzending te vervallen. Of de automatische verwijdering na het verlopen actief is, wordt nog gecontroleerd [nog uit te zoeken].
  • Vastlegging van een verwijderd account: een technisch record met je gebruikers-ID, de status van de verwijdering en tijdstempels; geen naam of e-mailadres. Het voorkomt dat een apparaat dat nog is ingelogd je profiel opnieuw aanmaakt, en laat een onderbroken verwijdering afmaken. Hoelang we het bewaren, wordt nog uitgewerkt [nog uit te zoeken].
  • Onze eigen back-ups: onze back-uppraktijk, inclusief hoelang kopieën bewaard blijven, wordt nog uitgewerkt [nog uit te zoeken].
  • Foto's in het album van een crew: foto's bij events en entries van een crew blijven in het gedeelde album van die crew staan nadat wie ze uploadde het account heeft verwijderd (§18). Een verzoek om een foto te verwijderen beoordelen we apart (§13). Foto's bij een entry die later wordt verwijderd, worden nu niet met de entry verwijderd; hoe we daarmee omgaan, wordt nog uitgewerkt [nog uit te zoeken].
  • Beveiligings-/diagnoselogs: alleen zolang nodig voor beveiliging en probleemoplossing.

12. Hoe we je gegevens beschermen

We nemen passende technische en organisatorische maatregelen, waaronder versleuteling tijdens transport (HTTPS/TLS), toegangscontrole en authenticatie via Firebase, server-side beveiligingsregels die bepalen wie welk record mag lezen of schrijven, en het principe van dataminimalisatie. Geen enkele dienst is 100% veilig, maar we doen ons best je gegevens te beschermen en je en de toezichthouder te informeren bij een datalek waar de wet dat vereist.

13. Je rechten

Onder de AVG heb je recht op:

  • Inzage — een kopie van de persoonsgegevens die we van je hebben.
  • Rectificatie — onjuiste of onvolledige gegevens corrigeren.
  • Verwijdering — je gegevens laten wissen ("recht op vergetelheid"). Je account, e-mailadres en profielfoto worden gewist als je je account verwijdert (§18), met de beperkingen uit §11. Wat je in de boekhouding van een crew hebt vastgelegd wordt daarbij níét gewist: die cijfers zijn ook de gegevens van de andere leden — hun saldi worden eruit berekend — en ze weghalen zou de administratie van de groep onjuist maken. Dat belang wegen we af tegen het jouwe op grond van art. 17 lid 1 AVG, en we beroepen ons op art. 17 lid 3 sub e waar een vastlegging nodig is om een rechtsvordering over geld tussen leden in te stellen of te verdedigen. Dat is een afweging per geval, geen algemene vrijstelling: waar je naam los te maken is van de cijfers die de anderen nodig hebben, kijken we juist daarnaar.
  • Beperking — de verwerking in bepaalde gevallen beperken.
  • Overdraagbaarheid — je gegevens ontvangen in een gestructureerd, gangbaar en machineleesbaar formaat.
  • Bezwaar — bezwaar maken tegen verwerking op basis van gerechtvaardigd belang.
  • Intrekken van toestemming — op elk moment, waar verwerking op toestemming berust.

Veel gegevens kun je direct in de app aanpassen: je naam en foto onder Profiel, je voorkeuren onder Instellingen, en je account verwijderen onder Account → Mijn account verwijderen (§18).

Heb je geen account maar sta je wel in een crew — omdat een beheerder je naam, of je e-mailadres, heeft ingevoerd om je uit te nodigen — dan heb je deze rechten ook. Mail privacy@splittrove.com en we verwijderen je e-mailadres en, voor zover de boekhouding van de crew dat toelaat, je naam.

Voor andere verzoeken mail je privacy@splittrove.com. We reageren binnen één maand, zoals de AVG voorschrijft; is een verzoek complex, dan mogen we daar maximaal twee maanden bij nemen en laten we je dat — met de reden — binnen die eerste maand weten. We kunnen je vragen te bevestigen wie je bent voordat we handelen, zodat niemand anders via jouw rechten bij jouw gegevens komt. Raakt een verzoek gegevens die ook van andere crewleden zijn, dan geven we je wat van jou is en leggen we uit wat we niet kunnen verstrekken. Je rechten uitoefenen is gratis, tenzij een verzoek kennelijk ongegrond of buitensporig is.

14. Recht om een klacht in te dienen

Als je vindt dat we je gegevens onrechtmatig verwerken, heb je het recht een klacht in te dienen bij een toezichthouder. In Nederland is dat de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl). Je kunt je ook wenden tot de toezichthouder in je eigen EU-land. We stellen het op prijs als je je zorg eerst aan ons voorlegt.

15. Geautomatiseerde besluitvorming & profilering

We gebruiken je persoonsgegevens niet voor geautomatiseerde besluitvorming met rechtsgevolgen of vergelijkbaar ingrijpende gevolgen, en we profileren je niet voor advertenties. Saldo's worden rekenkundig berekend uit de cijfers die je invoert; dat is geen profilering.

16. Kinderen

SplitTrove is niet bedoeld voor kinderen onder de 16, en we laten niet bewust iemand onder de 16 een account aanmaken.

Meer dan dat kunnen we niet beweren. Een crew-beheerder kan de naam van een kind invoeren om het een stoel in de boekhouding te geven, en op foto's bij een event kunnen kinderen staan — in beide gevallen bereiken die gegevens ons via een volwassene, niet via het kind. We vragen beheerders het eerste niet te doen en bij het tweede na te denken. Zijn er gegevens van een kind in SplitTrove terechtgekomen die er niet horen, mail dan privacy@splittrove.com en we verwijderen ze.

17. Wijzigingen in deze verklaring

We kunnen deze verklaring van tijd tot tijd aanpassen. De nieuwste versie staat altijd op deze pagina, met de datum en het versienummer hierboven. Belangrijke wijzigingen kondigen we waar passend aan in de app of per e-mail.

18. Je account verwijderen

Je kunt je account zelf verwijderen, in de app, onder Account → Mijn account verwijderen. Geen verzoek, geen wachttijd: jij doet het, en het gebeurt meteen.

Voordat het doorgaat laat de app zien wat er met elke crew gebeurt waar je in zit. Voor een crew waarvan jij eigenaar bent moet eerst één van twee dingen geregeld zijn:

  • heeft iemand anders in die crew een account, dan draag je de crew aan hem of haar over;
  • heeft niemand daar een account, dan blijft de crew met de volledige historie bestaan maar kan hij niet meer geopend worden — en krijg je één eigendomscode te zien waarmee hij weer opengaat. Wie die code inwisselt wordt eigenaar van die crew en neemt óf een van de vrije stoelen in de boeken over, óf begint er een nieuwe op zijn eigen naam. Dat kun jij zelf zijn, later, met een nieuw account. Je krijgt de code te zien vóórdat er iets verwijderd wordt, want daarna is er geen account meer om hem aan te tonen. We proberen hem ook te mailen naar het adres van je account, ook als dat niet bevestigd is; de app waarschuwt daarvoor. Bewaar de code goed: wij kunnen een verloren code niet herstellen of opnieuw uitgeven.

Daarna bevestig je door opnieuw in te loggen. Vanaf dat moment is het onomkeerbaar.

Wat we verwijderen: je account en inloggegevens, je profielfoto en je gebruikersprofiel. Uitnodigingsrecords worden verwijderd of ontdaan van je e-mailadres; de vastlegging dat je bent uitgenodigd en toegetreden blijft. Er kunnen sporen achterblijven; §11 noemt ze.

Wat blijft staan: de naam waaronder je in een crew stond, en alles wat daaraan hangt — entries, stortingen, verrekeningen, saldi en activiteitenlog-regels. Dit is de boekhouding van de groep en de saldi van de andere leden worden eruit berekend; §11 en §13 leggen uit waarom het blijft staan en op welke grond. Foto's die je aan events en entries van een crew hebt toegevoegd blijven ook staan, om een andere reden: ze horen bij het gedeelde album van die crew. Een verzoek om een foto te verwijderen beoordelen we apart, en alleen je profielfoto is van jou alleen. Je stoel wordt een vrije stoel waar een beheerder iemand anders voor kan uitnodigen.

Kun je niet bij de app — bijvoorbeeld omdat je geen toegang meer hebt tot je account — mail dan privacy@splittrove.com en wij handelen de verwijdering voor je af. Heb je helemaal geen account maar sta je wel in een crew omdat iemand je heeft uitgenodigd, zie dan §13.

19. Contact

Vragen over deze verklaring of je gegevens? Mail privacy@splittrove.com of schrijf naar [NAAM VERANTWOORDELIJKE], [VESTIGINGSADRES], Nederland.